Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

82
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
81
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
r ε
(öffentlich bekannt)
r ε
r 0 r 1
r 1
r 0
-1
( r r ( r
ε
)
0 1 )
r r
00 01
ƒ präf
KSig =
r 1
r 0
•••
b
K-Signaturen
r 01
r 11
r 10
r 01
r 00
Hilfsreferenzen
r
j
r
00
r r
010 011
•••
•••
r 011
r 010
010
R
R-Signatur:
-1
RSig = ƒ
präf ( R ) ( r )
010
010
r 011
r 010
R 010
m
N-Signatur:
-1
NSig = ƒ (
präf ( m ) R )
010
R 011
R 010
R
i
Referenzen
Bild 3-25: Referenzenbaum
Bild 3-26: Signatur unter m bezüglich Referenz R 2
Effizienzverbesserungen: Zunächst muß man beachten, daß der Signierer nicht den ganzen
Referenzenbaum vorweg generieren muß, sondern immer nur die Referenz Ri , die er gerade braucht,
und die im Baum darüberliegenden Hilfsreferenzen und deren Geschwister (da diese jeweils
zusammen authentisiert werden). Was zu einer Zeit zu speichern ist, sieht man am Beispiel R2 also
gerade in Bild 3-26.
Der Unterzeichner kann für jede Signatur aus der jeweils vorigen den gemeinsamen Anfangsabschnitt
des Pfades im Referenzenbaum mit allen zugehörigen, bereits berechneten K-Signaturen in
den neuen Signaturkopf übernehmen. Es empfiehlt sich daher, nicht nur die weiterhin benötigten
Hilfsreferenzen, sondern den gesamten Signaturkopf der vorherigen Signatur im „Gedächtnis“ zu
behalten.
Für jede Signatur wird nun ein Signaturkopf berechnet, der die aktuelle Referenz Ri bezüglich des
öffentlichen rε authentisiert. Dies geschieht folgendermaßen:
Beginnend mit der öffentlichen Referenz rε, der Wurzel des Referenzenbaumes also, wird jede
Hilfsreferenz rj auf dem Pfad von rε nach Ri benutzt, um ihre beiden Nachfolgeknoten rj0 und rj1 zu
signieren (Beispiel in Bild 3-26): rj0 und rj1 werden dazu (mit Trennzeichen) konkateniert, als
„Nachricht“ interpretiert und präfixfrei abgebildet. Dann wird die Signatur KSig := f –1
präf( rj0| rj1) (rj)
gebildet. Diese Knotensignaturen werden im folgenden kurz K-Signaturen genannt. Schließlich wird
die angehängte Referenz Ri mit RSig := fpräf(Ri ) –1 (ri ) authentisiert; diese Referenzsignatur wird im
folgenden als R-Signatur bezeichnet. 72
Da alle Referenzen rj an den Knoten des Referenzenbaumes, die im Signaturkopf zu authentisieren
sind, etwa die gleiche Länge haben, kann hier eine feste Länge angenommen werden (kürzere
Referenzen werden durch führende Nullen auf die korrekte Länge gebracht). Als Länge wird
sinnvollerweise gerade der Sicherheitsparameter l gewählt, der die Länge des Modulus n (in Bit)
festlegt. Eine zusätzliche präfixfreie Abbildung erübrigt sich also.
Da die Berechnung der Umkehrfunktionen (f –1
0 , f1 –1 ) aufwendiger ist als das Rechnen mit f0 und f1 ,
sollte auf f –1
0 , f1
–1 weitestmöglich verzichtet werden. Es zeigt sich, daß tatsächlich nur einmal je
Signatur eine Authentisierung mit f –1 , also f –1
0 und f1 –1 erfolgen muß:
Bei jeder neuen Signatur kann der Signaturkopf zunächst „von unten“ mittels f0 und f1 berechnet
werden: Die N-Signatur NSig für die Nachricht m wird zufällig gewählt und die Referenz als Ri :=
fpräf(m) (NSig) berechnet. (Da f0 und f1 Permutationen sind, garantiert die Zufälligkeit von NSig auch
die von Ri.) Anschließend wird die R-Signatur RSig zufällig gewählt und ri berechnet usw., bis ein
„Verbindungsknoten“ erreicht ist, an dem der übernommene Pfadteil mit dem soeben neu berechneten
verknüpft werden muß. Hier ist ein einziges Mal mit f –1
0 und f1 –1 zu rechnen (Bild 3-27).
Beim Testen ist also nicht nur die N-Signatur zu überprüfen, sondern auch die b K-Signaturen zu
sämtlichen Knoten rj des Pfades durch den Referenzenbaum und die R-Signatur der Referenz Ri . Der
dadurch entstehende zusätzliche Aufwand fällt jedoch, wie Aufwandsabschätzungen zeigen, bei
längeren Nachrichten kaum ins Gewicht.
72
Für K- und R-Signaturen ist ein anderes Geheimnis zu verwenden als für die N-Signaturen; dies wird im
Sicherheitsbeweis benötigt und ist in Bild 3-28 gezeigt. Im folgenden wird diese Unterscheidung aus
Übersichtlichkeitsgründen meist nicht erwähnt, z.B. schreiben wir einfach p und q, obwohl es für N-Signaturen
andere sind als für K- und R-Signaturen. Welche gemeint sind, ist aus dem Kontext klar.
Auch die Notwendigkeit der R-Signaturen wird nur im Beweis klar.